nmap 最直接的扫描用法就是敲一行命令，后面跟个 IP 或域名。工具比如 nmap 192.168.1.1，何使它会默认扫描 1000 个常见端口。扫描我第一次跑的工具时候盯着屏幕等了几秒，结果出来一堆 open、何使closed、扫描filtered 的工具状态，当时还不太明白 filtered 和 closed 的何使区别——后来才知道 filtered 通常意味着防火墙把探测包丢了，closed 是扫描端口确实没服务在听。

想扫整个网段也简单：nmap 192.168.1.0/24。工具但别在公司网络里随便这么干，何使流量不小，扫描容易被安全设备盯上。工具我有次在客户内网扫 /24，何使结果触发了 IDS 告警，对方安全团队直接打电话过来问。所以动手前最好确认你有授权。

默认扫描只覆盖 TCP 的 1000 个端口，想扫全端口加 -p-，也就是 nmap -p- 192.168.1.1。这会扫 65535 个端口，慢很多。想快点可以加 -T4，时间模板从 T0 到 T5，T4 是比较激进的常用档。T5 更快但容易丢包，在不太稳定的网络里反而结果不准。

UDP 扫描是另一回事。TCP 有三次握手，好判断；UDP 没连接，端口开放时往往不回包，关闭时反而回 ICMP 端口不可达。所以 nmap -sU 192.168.1.1 跑起来很慢，结果也不如 TCP 可靠。我一般只在明确怀疑有 DNS、SNMP 这类 UDP 服务时才单独扫。

服务识别和版本探测靠 -sV。不加这个参数，nmap 只告诉你 80 端口开着；加了之后它会尝试跟服务对话，告诉你跑的是 nginx 1.18.0 还是 Apache 2.4.41。这个功能很实用，但也会留下更多日志痕迹。配合 -O 还能猜操作系统，不过准确率看情况，Windows 和 Linux 一般还行，嵌入式设备经常猜错。

脚本引擎是 nmap 比较被低估的部分。--script 后面可以跟脚本名或类别，比如 nmap --script=http-title 192.168.1.1 能直接抓出网页标题。还有 vuln 类别，会跑一些已知漏洞的检测脚本。但别把它当漏扫神器用，nmap 的脚本更多是辅助判断，真要全面评估还得上专门的工具。我见过有人拿 --script=vuln 扫完就说系统没漏洞，这结论下得太早了。

输出格式也值得提一句。-oX 出 XML，-oN 是普通文本，-oG 是 grepable 格式。我习惯用 -oA，它会同时生成三种格式，文件名前缀自己定。后面拿 XML 丢进别的工具做解析很方便。有次做资产梳理，就是靠 -oX 的输出写了个脚本自动提取开放端口和服务版本。

最后说个实际习惯：扫描前先 ping 一下目标确认可达，用 -sn 做主机发现而不扫端口。内网里有些机器禁 ping，那就得加 -Pn 跳过主机发现直接扫。这两种情况我都遇到过，不加 -Pn 的时候 nmap 会告诉你主机似乎 down 了，但其实它只是不回 ICMP 而已。